离线安装是强监管场景下唯一合规、可控、可验证的交付方式，须满足等保2.0三级等要求，通过哈希校验、SBOM绑定、来源审计实现可信部署，且能规避在线安装导致的静默失效、依赖缺失与版本错配问题。
离线安装不是“权宜之计”，而是特定场景下唯一合规、可控、可验证的交付方式。
金融/政务等强监管环境必须离线安装
等保2.0三级、GDPR、金融行业数据安全规范都明确要求：第三方代码组件（含插件）需经安全审计、版本锁定、来源可信。在线安装会绕过企业网关审计日志，无法追溯下载时间、URL、签名状态；而离线安装的 .vsix 文件可统一哈希校验、存档备案、与SBOM（软件物料清单）绑定。某国有银行曾因开发机直接连 Marketplace 下载插件，被审计认定为“外部代码未经准入”，导致项目延期上线。
内网开发机根本无法触发在线安装流程
VSCode 的扩展市场 UI 在无网络时会显示 “No extensions found” 或空白页，Ctrl+Shift+X 搜索完全失效——这不是“加载慢”，是前端资源（如 marketplace API endpoint）根本不可达。此时点击“Install”按钮只会静默失败，连错误提示都不出现。你看到的“已安装”状态，往往只是插件 ID 写进了 extensions.json，但实际文件没解压、依赖没拉取、签名没验证，重启后自动消失。
批量部署时在线安装等于制造随机故障
用脚本循环执行 code --install-extension 却不处理依赖，极易漏装关键组件。例如：
-
esbenp.prettier-vscode依赖bradlc.vscode-tailwindcss才能解析@apply -
ms-python.python强依赖ms-python.pylance，否则无类型提示 -
volarjs.volar的.vsix不含volar-server二进制，只装它等于没装
extensionDependencies 字段，并一一下载对应 .vsix —— 这步跳过，功能就残缺。
版本错配在离线场景下反而更容易控制
在线安装默认拉最新版，但新版可能要求 VSCode ≥1.85，而你的内网机器固定是 1.84.2。官方市场页面的 Requirements 栏会明确写 “VS Code >= 1.85”，但这个信息不会出现在插件 UI 里。离线安装时你必须主动查 package.json 中的 engines.vscode 字段，再比对 code --version 输出。这个“多一步”，恰恰是避免静默失效的关键。
真正容易被忽略的点在于：插件是否“可用”，不取决于扩展列表里有没有名字，而取决于它对应的目录下是否存在完整文件结构、语言服务器进程能否启动、以及 VSCode 启动时是否报 INVALID_SIGNATURE 而不是跳过加载。离线安装逼你直面这些细节，而不是依赖 Marketplace 的“黑盒自动修复”。
